---

Слайд 1. Титульный
Добрый день! Тема моего выступления — «IDS/IPS: обнаружить раньше, остановить точнее». Сегодня я расскажу, что представляют собой системы обнаружения и предотвращения вторжений, какие задачи они решают, как классифицируются, какие методы анализа используют и в каких режимах работают. В конце мы сравним IDS и IPS и сделаем практические выводы.

Слайд 2. Почему это важно
Начнём с актуальности. Количество атак растёт быстрее, чем возможности специалистов вручную разбирать события. Сигналы приходят отовсюду: сети, серверы, рабочие станции, облачные сервисы — всё это создаёт непрерывный поток данных.

Проблема в том, что без общей картины цепочка атаки теряется в разрозненных журналах. Аналитик вынужден вручную искать связи между событиями, а это долго и не всегда эффективно.

Именно здесь на помощь приходят IDPS — системы обнаружения и предотвращения вторжений. Их задача — помогать проектировать, настраивать и поддерживать обнаружение и предотвращение атак, сокращая путь от события до решения.

Слайд 3. Два режима реакции
Ключевое различие между IDS и IPS — в режиме реакции.

IDS — система обнаружения вторжений. Она получает копию трафика, анализирует её и формирует оповещение. IDS — это про видимость: мы узнаём о подозрительной активности, но не вмешиваемся в трафик.

IPS — система предотвращения вторжений. Она стоит на пути проходящего трафика и может не просто обнаружить, но и заблокировать подозрительное соединение. IPS — это про действие.

Важно понимать: одна и та же платформа часто может работать в обоих режимах. Всё решают конфигурация и точка размещения.

Слайд 4. Зоны видимости
Системы обнаружения вторжений делятся на четыре класса в зависимости от зоны видимости.

NIDS — сетевые IDS. Анализируют трафик на сегменте сети или на границе. Это самый распространённый класс.

HIDS — хостовые IDS. Работают на отдельном хосте и отслеживают события именно этого устройства.

DIDS — распределённые IDS. Объединяют несколько сенсоров и выполняют корреляцию данных между ними.

WIDS — беспроводные IDS. Следят за беспроводной средой и выявляют подозрительные точки доступа.

Выбор конкретного класса зависит от того, где расположены активы и какие данные доступны для анализа.

Слайд 5. Методы анализа
Теперь о том, как именно системы выявляют атаки. Существует три основных метода.

Сигнатурный метод — сопоставление события с известным правилом или шаблоном. Он точен для известных угроз, но не увидит новую, ещё не описанную атаку.

Аномальный метод — выявление отклонений от базовой линии нормального поведения. Он может поймать неизвестную угрозу, но часто даёт ложные срабатывания.

Поведенческий метод — связывание действий в последовательность или сценарий атаки. Он смотрит на контекст и позволяет выявлять сложные многошаговые атаки.

На практике методы комбинируют. Это расширяет охват, но требует настройки и постоянной проверки тревог.

Слайд 6. Журналы, потоки и нормализованные события
Для работы IDS/IPS нужны данные. Рассмотрим три ключевых источника.

Журналы (Syslog) — содержат сообщение о событии и его контекст. Фиксируют факт произошедшего.

Потоки (NetFlow / IPFIX) — показывают связи, направления и объёмы коммуникаций. Помогают увидеть движение трафика.

События (CEF) — общий заголовок и расширение «ключ-значение». Упрощают сопоставление данных из разных источников.

Все три типа данных дополняют друг друга и используются в корреляции.

Слайд 7. STIX и TAXII
Отдельно стоит сказать о протоколах обмена индикаторами угроз.

STIX — это язык описания индикаторов компрометации. Он позволяет структурированно описать, что именно является признаком атаки.

TAXII — это протокол передачи этих данных. Он работает через REST API и позволяет обмениваться индикаторами между системами.

Схема выглядит так: поставщик разведданных формирует структурированные индикаторы, TAXII передаёт их, STIX описывает сведения о киберугрозах, а конечные системы — IDS и SIEM — принимают данные для проверки и корреляции.

Важно: перед применением всегда проверяйте контекст, актуальность и совместимость источника с вашей платформой.

Слайд 8. Сетевые сенсоры
Перейдём к конкретным инструментам. Наиболее известные сетевые сенсоры — это Snort и Suricata.

Они работают по принципу: сенсор анализирует трафик, сверяя его с наборами правил. При совпадении может быть сформировано оповещение. А в режиме IPS политика может заблокировать соединение.

В Snort правила определяют обработку конкретного пакета и действие при совпадении.

Результат зависит от качества правил, их обновлений, конфигурации и наблюдаемого трафика. Это не «поставил и забыл» — систему нужно поддерживать.

Слайд 9. Режимы размещения
Важный аспект — как именно размещается IPS. Здесь есть два основных режима.

Пассивный режим — система получает копию трафика и обнаруживает угрозу без блокировки. Цена ошибки здесь — пропущенная атака.

Inline-режим — система стоит на пути трафика и может сбросить или запретить соединение. Цена ошибки здесь — нарушение легитимной работы.

Также есть вопрос отказоустойчивости: fail-open пропускает трафик при отказе сенсора, fail-close — блокирует. Выбор должен соответствовать критичности сервиса.

Рекомендация: начинайте с наблюдения, тестируйте политики и задавайте исключения для критичных сервисов.

Слайд 10. Практический вывод
Подведём итог. Сравним IDS и IPS по ключевым критериям.

По действию: IDS обнаруживает и сообщает, IPS — обнаруживает и при необходимости вмешивается.

По размещению: IDS обычно наблюдает копию трафика, IPS работает inline с проходящим трафиком.

По риску: IDS может пропустить атаку, IPS может нарушить легитимную работу при ошибочной блокировке.

По практике: для IDS — мониторинг и проверенные правила, для IPS — контролируемый, поэтапный перевод в блокировку.

Главная мысль: IDS даёт видимость, IPS добавляет превентивное действие. И то, и другое — части одной системы защиты, которая требует грамотной настройки и сопровождения.

Спасибо за внимание! Готов ответить на вопросы.